Distinguir responsável pelo tratamento e subcontratante: erros críticos

⏱️ Tempo de leitura: 14 min · 📁 Categoria: KVKK, RGPD, Relações com o processamento de dados

Distinguir responsável pelo tratamento e subcontratante: erros críticos

Um erro frequente KVKK/RGPD é distinguir incorretamente os papéis de
responsável pelo tratamento e de subcontratante nas atividades reais de tratamento.
Durante 2024-2025, tanto as autoridades europeias de dados como o Conselho de Proteção de Dados Pessoais do KVKK descreveram a confusão de funções como uma área de risco grave, nomeadamente nos modelos de serviços mistos e nas infra-estruturas da SaaS.

Estes erros criam incumprimento e podem até tornar
o tratamento ilícito por atribuição incorreta dos papéis.

O ponto mais salientado pelo Conselho em 2025: « Os papéis seguem o tratamento real, não os rótulos contratuais. » 1. Importância de distinguir responsável e subcontratante

Determinar corretamente o papel que uma empresa assume no tratamento de dados afeta diretamente as seguintes obrigações:

• Dever de informação sobre o tratamento
• Determinação do consentimento + condições de processamento
• Responsabilidade pela notificação de infracção
• Segurança dos dados tratados
• Políticas de eliminação / anonimato
• Auditoria - contrato - obrigações adicionais

Se uma empresa se diz subcontratante mas age como responsável,
Todos os serviços oferecidos tornam-se legalmente arriscados.

2. Os 7 erros críticos mais comuns no período 2024-2025 Erro 1: "Se o contrato diz processador, não há problema" abordagem

Muitas empresas consideram suficiente o rótulo contratual « subcontratante ».
No entanto, as autoridades têm reiteradamente enfatizado este princípio:

Os títulos não são determinados por contrato; são determinados por quem, que finalidade e como os dados são processados.

Exemplo:
Um provedor de CRM SaaS realiza análise do comportamento do cliente, realiza encaminhamento do utilizador na interface e toma sua própria decisão sobre o tempo de retenção de dados.
É então considerado responsável, em vez de subcontratante.

Erro 2: ignorar a responsabilidade conjunta

Muitos modelos de serviço já não se encaixam na clássica relação controle-processador.
Por exemplo:

• Mercado - relação de fornecedores
• Bancos - fintech subscrever APIs
• Seguradora – software de peritagem de sinistros
• Plataforma de comércio electrónico - redes de publicidade de alvo

Muitas destas relações envolvem responsáveis conjuntos.
No entanto, na Turquia, existe o risco de graves violações, uma vez que a maioria das empresas a interpreta como processadora.

Erro 3: Erro de atribuição de papéis na cadeia de abastecimento

A cadeia se desfaz porque os fornecedores são frequentemente rotulados de forma incorreta.

Cadeia de exemplo:

Marca -> Agência -> Provedor de tecnologia de publicidade -> Infraestrutura de nuvem -> Ferramenta de análise

Aqui:

Agência: muitas vezes relação controlador/controlador

Plataforma de publicidade: responsável conjuntamente

Serviço cloud: subcontratante

Análise: geralmente responsável, pois determina finalidades e meios

Na Turquia, o mesmo modelo aplica-se a todos eles: "A Agência é o nosso processador".
Esta abordagem tornou-se uma das áreas que o Conselho supervisionou frequentemente em 2025.

Erro 4: Determinação do propósito do processador (erro mais crítico)

Se um subcontratante está fazendo uma das seguintes atividades, agora é um controlador:

• Se decidir apenas sobre o tempo de retenção de dados
• Se decidir sobre novos tipos de análise
• Se utilizar dados para desenvolver o seu próprio produto
• Decide quais os dados a recolher sozinho
• Se tem autoridade para partilhar dados com terceiros

Isso é especialmente verdade na Turquia:

Providentes de CRM

Integrações no mercado do comércio electrónico

Soluções Chatbot/AI SaaS

Ferramentas de análise de publicidade

É muito frequente.

Erro 5: Deixando as medidas técnico-organizacionais incertas nos contratos

O tópico mais criticado em muitas auditorias DPA e Board:

Utilizar "expressões gerais" no âmbito do acordo de processamento de dados (DPA).

Exemplo de artigos defeituosos:

"Todas as medidas de segurança necessárias serão tomadas."

"Os dados pessoais serão armazenados o tempo necessário."

"Apagar de acordo com a legislação pertinente."

Estas cláusulas já não são aceites.
As auditorias exigem obrigações concretas.

Erro 6: Insuficiência na notificação da utilização do subprocessador

Destaques nas auditorias do Conselho em 2025:
Utilização não declarada de subcontratantes ulteriores.

Especificamente:

Serviços de e-mail (Sendgrid, Mailgun)

Fornecedores de servidores de nuvem

Ferramentas de log/monitoragem

Cookie e soluções analíticas

É por isso que o responsável pelo tratamento de dados que recebe o serviço não pode ver os riscos reais.

Erro 7: Incerteza sobre quem irá denunciar violações

Muitas empresas ainda não sabem a resposta a esta pergunta:

De quem é a responsabilidade da notificação de violação?

A resposta depende do papel:

Responsável → notificar o Conselho e os titulares

Subcontratante → notificar imediatamente o responsável

Muitas empresas estão faltando 72 horas por falta de notificação de violação SLAs em contratos.

3. Exemplos actuais e realistas (2024-2025)

Os seguintes exemplos são cenários de risco derivados das conclusões das autoridades de 2024-2025.

Exemplo 1: Plataforma SaaS que diz "Somente oferecemos CRM"

Estado:

A plataforma analisa o comportamento dos clientes.

Forma um segmento para os clientes.

Processa todos os dados para "aperfeiçoamento do produto".

Resultado: responsável pelo tratamento
Qualificação incorreta: « subcontratante » → contrato inválido → tratamento ilícito.

Exemplo 2: Plataforma de comércio electrónico - relação de fornecedor

Plataforma:

Ele gere processos de entrega.

Ele faz análise de fraude.

Ele verifica o fluxo de pagamentos.

Exemplo 3: Agência de marketing digital

Agência:

Ele estabelece o alvo da campanha.

Ele define conteúdo e estratégia de público alvo sozinho.

Esta agência é considerada responsável.
No entanto, uma vez que os contratos são escritos "processador", todos os dados da campanha são processados ilegalmente.

Exemplo 4: API de autenticação Fintech

Serviço API:

Ele está a desenvolver modelos de detecção de fraudes.

Expande o seu próprio conjunto de dados.

Neste caso: responsável.
Muitas empresas fintech em Türkiye apresentam este modelo como uma relação de "processador" -> alto risco.

4. Oito lacunas frequentes nos contratos de fornecedores 1. Funções não expressas

Os papéis de responsável, subcontratante e responsáveis conjuntos faltam ou estão errados.

2. Nenhuma lista de subprocessadores

Os apêndices dos subprocessadores não são contratados.

3. Não há procedimentos de exclusão/anonimização

Quando, com que método, quem é responsável é indistinto.

4. Ausência de direitos de auditoria

Os procedimentos de auditoria do processador não foram definidos.

5. Não há SLAs

Em especial, a expressão "imediatamente" é utilizada para a notificação da infracção, o que é insuficiente.

6. Medidas técnicas abstratas

Itens como criptografia, controle de acesso, gerenciamento de log são deixados "quando necessário".

7. As disposições relativas às transferências geográficas não são claras

Os centros de dados do provedor de nuvem não são especificados.

8. Propósito de transformação não claro

As expressões gerais como "disponíveis para o desenvolvimento" são incompatíveis.

5. O que as empresas devem fazer quando entram em 2026?

As seguintes etapas foram preparadas de acordo com as orientações de 2025 das autoridades:

• Deve ser extraída a análise do papel (RACI) para cada atividade de processamento de dados.
• O mapa do fornecedor deve ser extraído (martech, fintech, SaaS, nuvem).
• Reclassificar os papéis de responsável e subcontratante.
• Os contratos devem ser revistos de acordo com o cumprimento das funções.
• Os anexos DPA obrigatórios devem ser preparados para as partes que são processadores.
• A gestão transparente da lista de subprocessadores deve ser assegurada.
• Clarificar os SLA de notificação de violações e a cadeia de comunicação.

O tema principal das auditorias 2026: « Quem é responsável, quem é subcontratante e a documentação que o prova. »